FICHE CVE

CVE-2026-105573

Publiée le 2026-10-06 · Dernière modification le 2026-10-06

🇫🇷 EN BREF

Les versions de Newbee-mall allant jusqu'à la 2.7.5 sont affectées par une erreur de logique dans le gestionnaire de quantité du panier d'achat. Un utilisateur authentifié peut manipuler à distance l'argument `goodsCount` pour provoquer des erreurs de logique métier, comme la modification des quantités ou des prix des commandes. Cette opération est relativement facile à exécuter car elle ne nécessite que des identifiants utilisateur basiques et un accès réseau.

CVSS 4.02.1 FAIBLE

Type de faiblesse

CWE-840

Publiée2026-10-06

Dernière modification2026-10-06

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability was found in newbee-ltd newbee-mall up to 2.7.5. This impacts an unknown function of the file /jshERP-boot/accountHead/updateAccountHeadAndDetail of the component Shopping Cart Quantity Handler. Performing a manipulation of the argument goodsCount results in business logic errors. The attack can be initiated remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.